impacket-split 徹底解説：巨大 PCAP ファイルをスマートに分割・分析 📊

はじめに：Impacket とは？ 🤔

impacket-split とは何か？ ✂️

注意点: impacket-split の主な機能は TCP/IP コネクションに基づいた分割です。IP アドレス単位や MAC アドレス単位など、より多様な基準で分割したい場合は、SplitCap や editcap (Wireshark に付属) のような他のツールが適している場合があります。しかし、特定の通信セッションの詳細を追跡したい場合には impacket-split は非常に有効です。

前提条件とインストール 🛠️

impacket-split を使用するには、まず Impacket パッケージがシステムにインストールされている必要があります。また、Impacket は内部で pcapy ライブラリを使用するため、これも必要です。pcapy は libpcap-dev (Debian/Ubuntu) や libcap-devel (CentOS/RHEL) などの開発ライブラリに依存します。

Python のパッケージマネージャ pip を使って Impacket をインストールするのが一般的です。

# 必要な開発ライブラリをインストール (Debian/Ubuntu の場合)
sudo apt-get update
sudo apt-get install -y python3-pip python3-dev libpcap-dev

# Impacket と pcapy をインストール
pip install impacket pypcap
# もしくは pip3 install impacket pypcap (環境による)

# 最新版を GitHub から直接インストールする場合
# git clone https://github.com/fortra/impacket.git
# cd impacket
# pip install .

インストールが完了すると、通常は impacket-split コマンド (または環境によっては直接 split.py を実行) が利用可能になります。

基本的な使い方 🚀

impacket-split の基本的な構文は非常にシンプルです。

impacket-split -f <入力PCAPファイル> -o <出力ディレクトリ>

主なオプション

実行例

例えば、large_capture.pcap という名前の巨大な PCAP ファイルがあり、それをコネクションごとに分割して split_files というディレクトリに保存したい場合は、以下のように実行します。

impacket-split -f large_capture.pcap -o split_files

実行が完了すると、split_files ディレクトリ内に、以下のような形式のファイル名の PCAP ファイルが多数生成されます。

各ファイルには、それぞれに対応する TCP または UDP の通信セッションに属するパケットのみが含まれます。ファイル名を見れば、どの通信に関するファイルかが一目瞭然です 👀。

活用シナリオ 💡

impacket-split は、以下のような状況で特に役立ちます。

少し高度な使い方とヒント ✨

スクリプトと組み合わせる

前述の通り、impacket-split は他のコマンドラインツールと組み合わせることで真価を発揮します。例えば、分割後のファイル群の中から、特定の文字列（例: “password”）を含むセッションを見つけたい場合は、以下のようなシェルスクリプトが考えられます。

#!/bin/bash

INPUT_PCAP="large_capture.pcap"
OUTPUT_DIR="split_files"
SEARCH_TERM="password"

# 1. PCAP ファイルを分割
echo "[*] Splitting PCAP file: ${INPUT_PCAP}"
impacket-split -f "${INPUT_PCAP}" -o "${OUTPUT_DIR}"
if [ $? -ne 0 ]; then
  echo "[!] Failed to split PCAP file."
  exit 1
fi
echo "[+] PCAP file split into ${OUTPUT_DIR}"

# 2. 分割された各ファイルを検索
echo "[*] Searching for term '${SEARCH_TERM}' in split files..."
find "${OUTPUT_DIR}" -name '*.pcap' -print0 | while IFS= read -r -d $'\0' file; do
  # tshark を使ってペイロードをテキスト表示し、grep で検索
  # -T fields -e data オプションはパケットのデータ部のみを出力する試みだが、
  # 実際にはセッション全体を検索するなら ngrep の方が適している場合が多い
  # ここでは ngrep を使う例を示す
  echo "[-] Searching in ${file}..."
  if ngrep -q -I "${file}" "${SEARCH_TERM}"; then
    echo "[!!!] Found '${SEARCH_TERM}' in: ${file}"
    # 必要に応じて、見つかったファイルを別の場所にコピーするなどの処理を追加
    # cp "${file}" found_files/
  fi
done

echo "[+] Search complete."

このスクリプトは、まず impacket-split でファイルを分割し、その後 find コマンドで分割された PCAP ファイルをリストアップします。そして、各ファイルに対して ngrep (ネットワーク版 grep) を実行し、指定した検索語 (SEARCH_TERM) が含まれているかどうかを確認します。見つかった場合は、そのファイル名を表示します。

データリンクタイプの考慮

impacket-split は内部で pcapy と Impacket のデコーダ (EthDecoder, LinuxSLLDecoder など) を使用してパケットを解析します。一般的なイーサネット (DLT_EN10MB) や Linux Cooked Capture (DLT_LINUX_SLL) には対応していますが、特殊なデータリンクタイプ (例: 802.11 無線 LAN ヘッダ付き) の PCAP ファイルの場合、うまく解析・分割できない可能性があります。もし問題が発生した場合は、editcap -T ether のようなコマンドで、データリンクタイプをイーサネットに変換してから impacket-split を試すとうまくいくことがあります。

ファイル名の長さ制限

impacket-split が生成するファイル名は、IP アドレスとポート番号を組み合わせたものです。IPv6 アドレスなどが含まれる場合、ファイル名が非常に長くなる可能性があります。一部のファイルシステムではファイル名の長さに制限があるため、問題が発生する場合は注意が必要です。必要であれば、分割後にファイル名をリネームするスクリプトを作成することも検討できます。

まとめ 🏁